リリース

securitymediumgithub.com/go-chi/chi/v5 の更新
github.com/go-chi/chi/v5 を v5.2.4 に更新し、CVE-2025-69725 を解消します。
securitymediumMongoDBドライバーとコンポーネント依存関係の更新
go.mongodb.org/mongo-driver を v1.17.7 に更新し、github.com/dapr/components-contrib の依存バージョンを v1.18.3 に引き上げます。
breaking子ワークフローを示す競合エラー
子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。

原文 ↗

Daprv1.16.17Orchestration & Management2026年7月10日

OTHER 1分析を詳しく見る

Dapr v1.16.17 は、Scheduler を利用するアクターのリマインダーとジョブ登録に関する修正を含むリリースです。バリデーションエラーとアクターのメタデータ処理も修正されており、更新以外の運用作業は必要ありません。

原文 ↗

Daprv1.18.1Orchestration & Management2026年6月16日

OTHER 4分析を詳しく見る

Dapr v1.18.1では、ワークフロータイマーのクリーンアップ、ワークフローサイドカーの終了と再起動、ContinueAsNewの完了処理、オペレーターの再同期処理、Helm CRDスキーマのずれが修正されています。セキュリティアドバイザリやセキュリティ上の不具合は確認されていません。

原文 ↗

Daprv1.17.10Orchestration & Management2026年6月15日

分析を詳しく見る

pubsub の publish 処理におけるリトライ動作の不具合が修正されたリリースです。gRPC ステータスコードを伴う publish エラーで、設定したステータスコードの照合が反映されるようになりました。

原文 ↗

Daprv1.16.16Orchestration & Management2026年6月15日

OTHER 2分析を詳しく見る

Dapr v1.16.16に関するリリース情報です。個別の変更項目はありません。

原文 ↗

Daprv1.16.15Orchestration & Management2026年6月11日

OTHER 1分析を詳しく見る

このリリースでは、変更内容の記載はありません。個別の変更項目もありません。

原文 ↗

Daprv1.18.0Orchestration & Management2026年6月10日

ACTION 8CHECK 6PLAN 1OTHER 108分析を詳しく見る

ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。

要対応 (8)

securitymediumgolang.org/x/imageの更新
golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

影響確認 (6)

securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
サービス呼び出し経路のパストラバーサルによるACLバイパスが修正されました。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
MCPServerResourceとWorkflowAccessPolicyのフィーチャーゲートが削除されました。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
v1.18から1.17.6以前へ直接ロールバックすることはできません。Dapr 1.18ではEd25519ワークロードIDキーが導入され、Sentryがそのキーに対応するCAをdapr-trust-bundle Secretへ保存します。
リリースページにあと 3 件

事前準備 (1)

deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
ScheduleJobAlpha1などのアルファ版RPCは非推奨になりましたが、引き続き完全に機能します。

原文 ↗

Daprv1.17.9Orchestration & Management2026年6月1日

OTHER 1分析を詳しく見る

Azure Cosmos DBでcustomStatus行が存在しない場合にワークフローの保持期限による削除処理が失敗する問題を修正したリリースです。v1.17.9への更新後は、影響を受けていたワークフローが自動的に復旧し、スケジューラーへの手動対応は必要ありません。

原文 ↗

Daprv1.17.8Orchestration & Management2026年5月28日

CHECK 1OTHER 1分析を詳しく見る

運用者向けの変更として、Sentry OIDCのディスカバリー処理における転送ホストの扱いが見直されています。--oidc-allowed-hostsの設定がない場合は、リクエストのr.Hostだけがissuerとjwks_uriの導出に使われます。

影響確認 (1)

securitySentry OIDCディスカバリーでのX-Forwarded-Host利用条件の変更
Sentry OIDCを利用している場合に適用されます。
handleDiscoveryは、--oidc-allowed-hostsが設定され、許可リストのミドルウェアで検証済みの場合に限りX-Forwarded-Hostを使用します。許可リストがない場合、issuerとjwks_uriはr.Hostだけから導出され、X-Forwarded-Hostは無視されます。

原文 ↗

Daprv1.17.7Orchestration & Management2026年5月15日

CHECK 1OTHER 19分析を詳しく見る

v1.17.7は、実行時の信頼性に関わる修正を中心としたリリースです。監視用メトリクスやスケジューラ設定の更新、依存ライブラリの更新も含まれます。

影響確認 (1)

breakingdrainOngoingCallTimeout の配置情報通知タイムアウト制約変更
アプリケーションが指定した actor の drainOngoingCallTimeout が、既定値30秒の daprd 側の配置情報通知タイムアウト以上になる場合に適用されます。
アプリケーションが指定した drainOngoingCallTimeout が、daprd 側の配置情報通知タイムアウト以上になる場合の制約が変更されました。配置情報通知タイムアウトの既定値は30秒です。

原文 ↗

Daprv1.17.6Orchestration & Management2026年4月28日

OTHER 1分析を詳しく見る

Dapr v1.17.6では、pub/subの購読終了時に到着したメッセージを拒否せず保持するよう修正されています。これにより、メッセージがデッドレターキューへ送られる代わりに、ブローカーによる再配信が行われます。

原文 ↗

Daprv1.15.14Orchestration & Management2026年4月16日

ACTION 2分析を詳しく見る

このリリースは、アクセス制御と実行時の依存関係に関わるセキュリティ更新を含みます。サービス呼び出しの経路やGoの1.24系を利用する環境では、変更内容の確認が関係します。

要対応 (2)

securityACLチェックと送信処理で正規化形式を統一
正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。
securityGoの1.24系CVE対応に伴うバージョン更新
Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

原文 ↗

Daprv1.17.5Orchestration & Management2026年4月16日

ACTION 1分析を詳しく見る

Dapr v1.17.5では、ACLチェックと送信処理で使う正規化形式の不一致が修正されました。サービス呼び出しのアクセス制御ポリシーを利用する環境に関係する変更です。

要対応 (1)

securityACLチェックと送信処理での正規化形式の統一
正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

原文 ↗

Daprv1.16.14Orchestration & Management2026年4月16日

ACTION 3OTHER 1分析を詳しく見る

サービス呼び出しでパスの正規化が一致しないことに起因するACLチェックの迂回を修正しました。メソッドパスの受け入れ条件を狭め、ACLパス処理からpurell依存関係を削除しています。

要対応 (3)

securityサービス呼び出し時のメソッドパス正規化を統一
サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。
securityメソッドパスの受け入れ条件を変更
メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。
securityACLパス処理からpurell依存関係を削除
ACLパス処理からpurell依存関係を削除しました。

原文 ↗

Daprv1.16.13Orchestration & Management2026年4月15日

ACTION 1CHECK 1OTHER 5分析を詳しく見る

v1.16.13では、セキュリティに関わるGoの更新が行われています。スケジューラの信頼性とPulsarのpub/sub処理に関する修正も含まれます。

要対応 (1)

securityGoバージョンの更新
Goのバージョンが1.25.8から1.25.9に更新されました。

影響確認 (1)

breakingprocessModeの無効値検証
processModeを設定している場合に適用されます。
設定したprocessModeに無効な値がある場合、初期化時に拒否されます。

原文 ↗

Daprv1.17.4Orchestration & Management2026年4月10日

ACTION 1OTHER 11分析を詳しく見る

このリリースでは、リポジトリ全体で利用するGo toolchainのバージョンが更新されています。セキュリティに関わるツールチェーンの変更を確認するリリースです。

要対応 (1)

securityGo toolchainの更新
リポジトリ内の全モジュールとDockerイメージで、Go toolchainを1.25.8から1.25.9へ更新しました。

原文 ↗

Daprv1.16.12Orchestration & Management2026年3月30日

ACTION 1CHECK 2OTHER 4分析を詳しく見る

セキュリティ対応と、PulsarおよびSchedulerの動作修正を含むリリースです。PulsarではAvroとJSONスキーマ処理、Schedulerではクラスタ復旧に関する不具合が扱われています。

要対応 (1)

securitycriticalgRPC依存関係の更新
google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

影響確認 (2)

breakingrawPayload指定時の公開制約
CloudEventsでラップされたトピックにrawPayloadが設定されている場合に適用されます。
CloudEventsでラップされたトピックにrawPayload=trueを指定して公開すると、明確なエラーを返して拒否するようになりました。
breakingJSONスキーマの構造検証
.jsonschemaを設定している場合に適用されます。
PulsarのJSONスキーマがAvroスキーマ定義を使うことに合わせ、初期化時にgoavro codecをコンパイルし、公開時にはNativeFromTextualでペイロード全体の構造を検証するようになりました。不正なスキーマは起動時に即座に失敗します。

原文 ↗

Daprv1.17.3Orchestration & Management2026年3月26日

ACTION 2OTHER 12分析を詳しく見る

このリリースでは、依存関係の更新によって既知のCVEへの対応が行われています。該当する依存関係を利用している環境に関係する変更です。

要対応 (2)

securitycriticalgoogle.golang.org/grpc の更新
google.golang.org/grpc の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。
securitymediumgolang.org/x/image の更新
golang.org/x/image が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。

原文 ↗

Daprv1.16.11Orchestration & Management2026年3月26日

ACTION 1OTHER 4分析を詳しく見る

既知の脆弱性に対応するため、Goツールチェーンが更新されたリリースです。SchedulerやWindowsイメージに関する修正も含まれます。

要対応 (1)

securityGo 1.25.8への更新
Goのバージョンが1.25.7から1.25.8に更新されました。

原文 ↗

Daprv1.17.2Orchestration & Management2026年3月19日

ACTION 3CHECK 2OTHER 22分析を詳しく見る

Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。

要対応 (3)

securityhighGo 1.25.8 へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1.25.8 に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os.FileInfo の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。

影響確認 (2)

securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
net/url で IPv6 ホストリテラルを正しく解析できない問題を修正しました。ユーザー入力の URL を解析するアプリケーションで、想定外の URL ルーティングや SSRF につながる可能性がありました。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。
Configuration CRD のすべての stateRetentionPolicy フィールドを type: string に変更しました。metav1.Duration のシリアライズ形式と一致する定義です。

原文 ↗

Daprv1.17.1Orchestration & Management2026年3月9日

OTHER 4分析を詳しく見る

Dapr v1.17.1 は、オペレーターに関係するランタイムの動作を修正したリリースです。WASM コンポーネントの登録やワークフロー、プレースメント、バルクサブスクリプションに関わる変更が含まれています。

原文 ↗

Daprv1.16.10Orchestration & Management2026年3月6日

ACTION 1OTHER 4分析を詳しく見る

Go 1.25.7の修正を含むリリースです。コマンド、TLS、コンパイラー、証明書処理に関わる修正が反映されています。

要対応 (1)

securityGo 1.25.7の更新
Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。

原文 ↗

Daprv1.17.0Orchestration & Management2026年2月27日

ACTION 9CHECK 3PLAN 2OTHER 151分析を詳しく見る

ワークフローやコンポーネント、API、認証、トレーシング、設定、CLI、可観測性に関する機能を追加し、複数の不具合修正と依存関係・ツールチェーンの更新を含むリリースです。セキュリティ修正に加え、Alpha Bulk PubSub APIとAlphaアプリケーションコールバックの非推奨化、従来の動作の削除や縮小も含まれますが、多くの更新では運用者による特別な対応は必要ありません。

要対応 (9)

security暗号関連依存関係の更新
x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。
securityGoの脆弱性修正
Goの脆弱性を修正しました。
securityUID確認の対象をrootに限定
UIDの確認対象をrootだけに更新しました。
securityHTTPパスマッチングとinvocation自動登録の修正
HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。
securitygolang.org/x/cryptoの更新
golang.org/x/cryptoを更新しました。
securitygithub.com/docker/dockerの更新
github.com/docker/dockerを更新しました。
securityセキュリティ修正
セキュリティ修正を追加しました。
securitygithub.com/coreos/go-oidc/v3の更新
github.com/coreos/go-oidc/v3を更新しました。
securityNATSの脆弱性修正
NATSの脆弱性を修正しました。

影響確認 (3)

securityPlacementでのDapr actor type認可
Placement を使用している場合に適用されます。
PlacementでDapr actor typeを認可するようになりました。
securitycloudflare workerの脆弱性修正
cloudflare worker を使用している場合に適用されます。
cloudflare workerの脆弱性を修正しました。
breakingHelm chartからscheduler resourcesを削除
Helm chartを使用している場合に適用されます。
Helm chartからscheduler resourcesを完全に削除するようになり、ゼロスケールでは処理しなくなりました。

事前準備 (2)

deprecatedAlpha Bulk PubSub APIの非推奨化
/v1.0-alpha1/publish/bulk/<pubsub-name>/<topic>、BulkPublishEventAlpha1、OnBulkTopicEventAlpha1 のいずれかを使用している場合に適用されます。
Alpha Bulk PubSub APIは安定版Bulk PubSub APIへの移行に伴い非推奨になりました。/v1.0-alpha1/publish/bulk/<pubsub-name>/<topic>とBulkPublishEventAlpha1が非推奨となり、アプリケーションコールバックのOnBulkTopicEventAlpha1も非推奨です。
deprecatedOnBulkTopicEventAlpha1 の非推奨化
OnBulkTopicEventAlpha1 を使用している場合に適用されます。
OnBulkTopicEventAlpha1 は引き続き動作しますが、安定版APIへの移行に伴い非推奨になりました。